Hơn 100.000 hồ sơ của lực lượng cảnh sát Vương quốc Anh – bao gồm tên, địa chỉ email, lĩnh vực công tác – vừa bị phơi bày trên dark web, kèm theo thông điệp lạnh lùng: "Hãy khôn ngoan, trả tiền đi". Kẻ đứng sau là ExfilSquad, một tổ chức tống tiền mới nổi, tự nhận đã xâm nhập 15 công ty và cơ quan chính phủ, từ Bộ Quốc phòng, Bộ Nội vụ, đến Cơ quan Tội phạm Quốc gia (NCA) và Cơ quan Công tố Hoàng gia (CPS). Tờ The Times đã xác minh tính xác thực của danh sách rò rỉ. Điều đáng chú ý: ExfilSquad không dùng ransomware để mã hóa hệ thống, mà thuần túy đánh cắp dữ liệu rồi ngồi chờ trả giá.
Với tôi – một người đã dành hơn hai thập kỷ quan sát các vụ tống tiền mạng và audit hợp đồng thông minh – đây là một cột mốc đáng lo ngại. Lần đầu tiên, dữ liệu của lực lượng thực thi pháp luật Anh bị đưa lên chợ đen như một món hàng. Nhưng điều khiến tôi quan tâm hơn cả không phải vụ rò rỉ, mà là thứ đứng sau hậu trường: tiền mã hóa và những kênh rửa tiền khó ai với tới.
ExfilSquad là ai? Theo các nhà nghiên cứu, đây là tổ chức mới xuất hiện trên bản đồ tội phạm mạng. Chúng tuyên bố sở hữu 135.000 bản ghi dữ liệu, nhưng con số này đang bị giới nghiên cứu an ninh nghi ngờ. Có thể một phần dữ liệu bị trùng lặp, hoặc được "thổi phồng" để tăng sức nặng đàm phán. Điều đó không làm giảm mức độ nghiêm trọng của vụ việc. Hơn 114.000 người đăng ký sử dụng Cơ sở dữ liệu quốc gia về cảnh sát (PNLD) nằm trong danh sách, gồm 2.615 nhân viên CPS, 617 nhân viên Bộ Nội vụ, 588 nhân viên NCA và 402 nhân viên Bộ Quốc phòng. Khi những thông tin này bị lộ, các cuộc tấn công phi kỹ thuật như phishing, SIM swapping hay thậm chí đe dọa thể chất với cảnh sát viên trở nên dễ dàng hơn nhiều.
Về mặt kỹ thuật, ExfilSquad đang vận hành theo mô hình "pure extortion" – tống tiền thuần túy. Thay vì mã hóa toàn bộ hệ thống và đòi tiền để trả khóa, chúng chỉ cần chứng minh dữ liệu đã bị chiếm đoạt và đưa ra tối hậu thư. Cách này có chi phí vận hành thấp hơn, không cần duy trì hạ tầng ransomware phức tạp, và dữ liệu nhạy cảm của chính phủ càng làm tăng áp lực lên nạn nhân. Trong một cuộc tấn công kiểu cũ, nạn nhân có thể khôi phục từ bản sao lưu. Nhưng với dữ liệu bị đánh cắp, bản sao lưu không cứu được gì. Mô hình "tống tiền thuần túy" không cần mã hóa dữ liệu, mà chỉ cần một lời đe dọa – và thứ đảm bảo cho lời đe dọa ấy chính là tiền mã hóa với khả năng rửa tiền khó truy vết.
Hãy thử hình dung dòng tiền chuộc sẽ chảy như thế nào. Bài báo gốc của The Times nhắc đến khả năng ExfilSquad yêu cầu thanh toán bằng tiền mã hóa, sau đó rửa qua mixer, privacy coin và sàn giao dịch phi tập trung không KYC. Đây là nhận định chính xác về kỹ thuật. Hướng thứ nhất: Bitcoin được đẩy vào các dịch vụ trộn lẫn như Tornado Cash, sau đó rút ra từ các địa chỉ mới để nạp vào sàn giao dịch tập trung có KYC, rồi quy đổi thành tiền pháp định. Hướng này từng phổ biến, nhưng hiện nay rất rủi ro vì các công ty phân tích blockchain như Chainalysis, Elliptic hay TRM Labs đã xây dựng hồ sơ đầy đủ về các cụm địa chỉ liên quan đến mixer. Tornado Cash đã bị Bộ Tài chính Mỹ trừng phạt. Mỗi lần dòng tiền chạm vào sàn giao dịch có KYC, cơ hội bị đóng băng và điều tra là rất cao.
Hướng thứ hai – thông minh hơn – là chuyển Bitcoin sang Monero (XMR), một privacy coin che giấu người gửi, người nhận và số lượng giao dịch. Sau đó, XMR được bán trên các sàn phi tập trung hoặc qua kênh OTC để lấy tiền mặt. Với hướng này, các công ty phân tích gần như bó tay, bởi giao thức Monero dùng chữ ký vòng và địa chỉ ẩn khiến việc truy vết gần như bất khả thi về mặt kỹ thuật. Nhưng đổi lại, thanh khoản của XMR kém hơn Bitcoin, và không phải sàn nào cũng niêm yết. Nếu kẻ tấn công cần chuyển một lượng lớn tiền, chúng phải chấp nhận trượt giá hoặc chia nhỏ giao dịch nhiều lần.
Kinh nghiệm audit của tôi cho thấy, hầu hết các nhóm ransomware vụng về thường chọn hướng thứ nhất vì dễ thao tác – và họ thường bị bắt trong vòng vài tuần. Nhưng một số tổ chức kỷ luật hơn lại chuộng hướng thứ hai. Họ không bao giờ dùng một địa chỉ ví quá lâu, luôn chia nhỏ dòng tiền và không bao giờ chạm vào sàn KYC. Với họ, chi phí rửa tiền 10-20% là chấp nhận được, miễn là không để lộ tung tích. ExfilSquad, nếu thực sự là một tổ chức mới, rất có thể học theo phương thức này. Điều đó có nghĩa là các cơ quan điều tra Anh sẽ phải đối mặt với một bài toán gần như bất khả thi nếu không có sự hợp tác từ các sàn giao dịch lớn và công cụ theo dõi tiền mã hóa tiên tiến.
Ngay sau khi tin tức lan truyền, giá Monero có những phiên biến động nhẹ. Một vài sàn giao dịch tại châu Âu tuyên bố rà soát lại danh sách niêm yết các privacy coin. Điều này cho thấy tác động không nằm ở giá, mà nằm ở nhận thức quản lý. Các cơ quan quản lý sẽ có thêm lý do để siết chặt các kênh rửa tiền phi tập trung. Tuy nhiên, có một nghịch lý: chính sách "cấm trả tiền chuộc" mà chính phủ Anh đang xem xét có thể vô tình đẩy tội phạm đến các phương thức tinh vi hơn. Khi khu vực công không được phép trả tiền, các cuộc tấn công nhằm vào cơ quan chính phủ sẽ trở nên kém hấp dẫn về mặt tài chính. Nhưng các tổ chức tội phạm không bỏ nghề – chúng sẽ chuyển hướng nhiều hơn sang doanh nghiệp tư nhân, trường học, bệnh viện tư, những nơi không bị ràng buộc bởi quy định này và thường có ngân sách dành cho khủng hoảng. Nói cách khác, cấm trả tiền chuộc cho khu vực công không khiến tội phạm biến mất, nó chỉ chuyển họ sang khu vực tư nhân – nơi doanh nghiệp sẵn sàng trả tiền để cứu danh tiếng hơn là cứu dữ liệu. Và khi đó, dòng tiền chuộc vẫn chảy vào hệ sinh thái tiền mã hóa, vẫn được rửa qua mixer và privacy coin, nhưng khó bị kiểm soát hơn.
Một chi tiết khiến tôi dừng lại: ExfilSquad tuyên bố đã tấn công Microsoft – một trong những công ty công nghệ có năng lực bảo mật hàng đầu thế giới. Nếu tuyên bố này là thật, đó là một kỳ tích. Nhưng Microsoft không hề xác nhận, và các nhà nghiên cứu độc lập cũng chưa tìm thấy bằng chứng rõ ràng. Với tôi, đây có thể là dấu hiệu của chiến thuật thổi phồng. Trên thực tế, thay vì tự mình đột nhập, nhiều tổ chức tấn công mới nổi mua lại quyền truy cập từ các "môi giới truy cập ban đầu" – những kẻ chuyên xâm nhập hệ thống rồi bán lại thông tin đăng nhập trên dark web. Điều gì sẽ xảy ra nếu toàn bộ chiến công của ExfilSquad chỉ đơn giản là mua thông tin đăng nhập từ một môi giới truy cập ban đầu trên dark web, thay vì tự mình đột nhập vào hệ thống của chính phủ Anh? Nếu vậy, năng lực kỹ thuật thực sự của chúng có thể chỉ ở mức trung bình – nhưng điểm yếu nằm ở phía chính phủ, khi một tài khoản VPN hay một phiên đăng nhập không được bảo vệ đủ tốt đã trở thành cánh cửa hé mở.
Ngoài ra, còn một nghịch lý khác. Mỗi vụ rò rỉ lớn đều khiến các công ty bảo mật, dịch vụ giám sát dark web và các hãng bảo hiểm danh tính kiếm được nhiều tiền hơn. Họ được gọi đến để khắc phục hậu quả, ký hợp đồng dài hạn, bán gói theo dõi danh tính cho hàng nghìn cảnh sát viên bị ảnh hưởng. Doanh thu từ nỗi sợ hãi là một ngành công nghiệp không bao giờ thiếu khách hàng. Trong bối cảnh đó, ExfilSquad chỉ là một mắt xích nhỏ trong chuỗi giá trị mà ai cũng có lợi, ngoại trừ nạn nhân. Đáng buồn thay, câu chuyện này lặp đi lặp lại đến mức tôi đã quen.
Câu chuyện ExfilSquad sẽ không phải là vụ rò rỉ dữ liệu lớn cuối cùng. Ngành blockchain cần đối diện với sự thật: tiền mã hóa và quyền riêng tư đang bị lợi dụng để biến dữ liệu cá nhân thành công cụ tống tiền. Nếu chúng ta không tìm ra cách cân bằng giữa quyền riêng tư và trách nhiệm giải trình, các chính phủ sẽ làm điều đó theo cách mạnh tay hơn nhiều. Khi đó, những người lương thiện – như các cảnh sát viên Anh đang bị đe dọa – sẽ phải trả giá. Liệu sự ẩn danh tuyệt đối trên blockchain có đáng để đánh đổi bằng nỗi sợ hãi của những người đang bảo vệ chúng ta?